Le 1er septembre 2026, toutes les entreprises françaises devront être capables de recevoir des factures électroniques. Les grandes entreprises et les ETI devront également les émettre par l'intermédiaire de plateformes agréées et transmettre de nouvelles données à l'administration fiscale. Sur le papier, la réforme doit simplifier les échanges et mieux lutter contre la fraude à la TVA. Dans la réalité, elle arrive quelques jours après un nouvel aveu d'échec de la DGFiP.
Le fisc avait détecté et fermé les accès frauduleux. Il n'avait simplement pas vu que les attaquants étaient repartis avec les données de 678 000 particuliers et professionnels. Il ne l'a compris qu'après leur revendication.
Le fisc a vu l'intrusion, mais pas le vol
Les accès frauduleux ont eu lieu en juin et juillet 2026 en utilisant les identifiants usurpés d'agents publics. La DGFiP affirme les avoir détectés et interrompus à cette période. Pourtant, les contrôles réalisés n'ont pas permis d'identifier que des données avaient été consultées et extraites.
Le vol n'a été établi qu'à partir du 12 août, après la revendication des attaquants. C'est écrit noir sur blanc dans la FAQ publiée par la DGFiP et dans le communiqué officiel de Bercy.
Il faut mesurer l'énormité de la situation. L'administration avait suffisamment d'éléments pour fermer les comptes utilisés, mais pas pour comprendre que ces comptes avaient permis d'extraire des centaines de milliers de dossiers.
En sécurité informatique, découvrir le vol lorsque le voleur publie le reçu n'est pas de la détection. C'est un constat d'échec après notification par l'attaquant.
Bercy invoque la "sophistication de l'attaque". C'est possible. Mais la sophistication des attaques n'est pas une circonstance imprévisible. C'est précisément l'hypothèse sur laquelle un système hébergeant les données fiscales d'un pays doit être construit.
678 000 dossiers capables de crédibiliser une escroquerie
Les espaces personnels sur impots.gouv.fr et les mots de passe des contribuables ne semblent pas avoir été compromis. C'est important de le préciser. Ce qui a été dérobé reste néanmoins particulièrement sensible.
Les données concernent notamment l'identifiant fiscal, l'état civil, les coordonnées postales, téléphoniques et électroniques, la composition du foyer, le nombre de personnes à charge, le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source. Des données cadastrales portant sur les adresses et les surfaces de biens immobiliers ont également été consultées.
Pour moins de 250 contribuables, le contenu de messages échangés avec l'administration a aussi pu être consulté. Les pièces jointes ne seraient pas concernées.
Ce ne sont pas seulement des lignes dans une base de données. Ce sont les éléments dont un escroc a besoin pour connaître sa victime, adapter son discours et rendre crédible un faux appel de la banque, des impôts ou d'une administration.
Après avoir laissé partir ces informations, l'Etat demande donc aux citoyens de rester vigilants face aux tentatives d'hameçonnage. Le conseil est utile, mais la répartition des responsabilités est remarquable : l'administration échoue à détecter l'extraction, puis transfère aux victimes la charge d'identifier les escroqueries rendues plus crédibles par les données qu'elle n'a pas su protéger.
FICOBA avait déjà été piraté quelques mois plus tôt
Ce nouvel incident n'arrive pas dans un désert.
Entre la fin janvier et février 2026, un attaquant avait déjà usurpé les identifiants d'un fonctionnaire extérieur à la DGFiP disposant d'un accès interministériel au fichier national des comptes bancaires FICOBA.
Environ 1,2 million de comptes bancaires avaient été concernés. Les informations accessibles comprenaient des coordonnées bancaires, l'identité des titulaires et leurs adresses. Les soldes et les opérations bancaires ne figuraient pas dans le fichier, mais le mécanisme général est familier : un identifiant d'agent est usurpé, un accès légitime devient une porte d'entrée et les données sont consultées ou extraites.
Une compromission d'identifiants peut arriver à n'importe quelle organisation. Deux incidents reposant sur des identités usurpées en quelques mois doivent en revanche déclencher une question très simple : quelles protections empêchent un mot de passe volé de devenir immédiatement un accès aux données des Français ?
La double authentification n'est toujours pas généralisée
Il serait incorrect d'affirmer que tous les agents de l'Etat travaillent sans double authentification. Les administrations, les applications et les niveaux de protection sont différents.
Mais un compte rendu publié le 21 août par Solidaires Finances Publiques, après une réunion avec la direction locale, donne une indication particulièrement dérangeante. Le portail de la gestion publique aurait été fermé aux agents de la DGFiP tout en restant accessible aux agents des collectivités, ces derniers disposant d'une double authentification. Le même compte rendu annonce que les agents de la DGFiP bénéficieront de cette protection sur leur ordinateur avant la fin de l'année.
Ce document syndical n'est pas un audit exhaustif de tous les accès de l'administration fiscale. Il suffit néanmoins à établir que la double authentification n'est pas encore généralisée sur un périmètre important de la DGFiP, plusieurs mois après le piratage de FICOBA et quelques jours après la découverte du nouveau vol.
Le calendrier devient presque caricatural. La facturation électronique démarre le 1er septembre. La double authentification des agents concernés arriverait avant la fin de l'année.
Les entreprises, elles, n'ont pas le droit de répondre à l'administration que leur sécurité sera prête quelques mois après leur obligation.
L'objection honnête : la facturation électronique n'a pas été piratée
Pour que la critique soit sérieuse, il faut aussi dire ce qui ne s'est pas produit.
Le piratage annoncé en août ne concerne ni les infrastructures de la facturation électronique ni les plateformes agréées. Il ne prouve pas qu'un attaquant pourra récupérer les futures factures électroniques.
Les factures complètes ne doivent pas non plus être centralisées dans une gigantesque base documentaire de la DGFiP. Elles seront échangées entre les plateformes agréées choisies par les entreprises. Seules les données prévues par la loi seront transmises à l'administration fiscale.
Ces plateformes sont soumises à de véritables exigences : certification ISO 27001, qualification SecNumCloud lorsqu'un cloud externe est utilisé, hébergement européen, absence de transfert hors de l'Union européenne, authentification renforcée, traçabilité, supervision des flux et audits réguliers. La DGFiP détaille elle-même ces garanties.
Tout cela est bienvenu. Mais cela ne répond pas à la question principale.
Le sujet n'est pas seulement de savoir si la plateforme privée qui transporte la facture possède un certificat. Le sujet est de savoir si toute la chaîne, jusqu'aux systèmes de l'Etat, applique réellement la gestion des identités, la limitation des privilèges, la supervision et la détection d'exfiltration qu'elle exige de ses prestataires.
L'Etat vient justement de démontrer qu'il pouvait détecter un accès frauduleux sans détecter les données qui en sortaient.
Ce que l'Etat va réellement recevoir
La facturation électronique obligatoire commence le 1er septembre 2026. Toutes les entreprises devront pouvoir recevoir des factures électroniques. Les grandes entreprises et les ETI devront également les émettre et transmettre leurs données de transaction et de paiement. Les PME et les micro-entreprises suivront pour l'émission et l'e-reporting le 1er septembre 2027.
L'administration recevra notamment des identifiants de fournisseurs et de clients, des montants hors taxes, des taux de TVA et des montants de TVA. Pour certaines opérations avec des particuliers ou des acteurs établis à l'étranger, des données de transaction et de paiement seront transmises par l'e-reporting.
Bercy explique que cette réforme permettra à l'administration de "visualiser toute la chaîne de facturation" afin de repérer plus facilement les incohérences et les fraudes à la TVA.
Il ne s'agit donc pas de récupérer chaque PDF dans une armoire numérique unique. Il s'agit de construire une vision structurée et exploitable d'une partie considérable de l'activité économique française.
Cette collecte peut avoir une utilité fiscale. Elle augmente aussi mécaniquement la valeur des systèmes, des flux et des comptes capables d'y accéder. Plus une base permet de comprendre une entreprise, ses clients, ses fournisseurs, ses montants et ses paiements, plus elle devient intéressante pour un attaquant.
Ce n'est pas un argument pour renoncer à toute modernisation. C'est un argument pour exiger un niveau de sécurité et de transparence proportionnel à la puissance de la collecte.
La dette technique n'est pas une découverte
Les difficultés informatiques de la DGFiP ne sont pas une impression produite par deux communiqués de crise.
Dans un rapport publié en juin 2026, la commission des finances du Sénat considère que la résorption de la dette technologique est un impératif. Les dépenses informatiques de la DGFiP ont atteint 451,7 millions d'euros en 2025, en baisse de 1,8 % sur un an.
Pour huit grands projets informatiques prioritaires, dont la facturation électronique, le coût complet actualisé est passé de 479,4 à 707,6 millions d'euros. Cela représente une augmentation de 48 %. Leur durée cumulée est passée de 524 à 748 mois, soit 43 % de plus.
Le rapport évoque une fragilisation du pilotage, des dérapages de coûts et de délais et l'absence d'indicateurs suffisamment clairs pour comprendre ces dépassements.
En février 2026, une défaillance matérielle du système Hélios avait aussi interrompu pendant plusieurs jours des flux financiers entre l'Etat, les collectivités et les hôpitaux. Ce n'était pas une cyberattaque, mais cette panne a posé la même question de fond : celle de la résilience d'un système devenu indispensable au fonctionnement du pays.
Nous ne sommes plus face à un accident isolé. Nous sommes face à une accumulation de signaux documentés sur la dette technique, les habilitations, la supervision, la résilience et le pilotage des grands projets.
L'audit de sécurité arrive après l'obligation
Le 17 août, le Gouvernement a annoncé 200 millions d'euros supplémentaires pour la cybersécurité de l'Etat, un plan d'urgence comprenant 40 actions et la création d'une nouvelle autorité numérique interministérielle avant 2027.
Le Premier ministre a également demandé un audit de la sécurité des systèmes informatiques de la DGFiP. Les mesures opérationnelles issues de cet audit doivent être présentées au ministre en septembre.
La facturation électronique obligatoire commence le 1er septembre.
L'Etat impose donc une date ferme aux entreprises, mais promet de connaître les conclusions de son propre audit de sécurité au mieux pendant le mois du lancement. Les nouveaux budgets structurels, eux, sont annoncés pour 2027.
Autrement dit : les entreprises doivent être prêtes avant que l'administration ait fini d'évaluer si elle l'est.
La transparence ne peut pas se limiter à une FAQ
La DGFiP a publié le nombre de personnes concernées, la nature générale des données dérobées et les premières mesures prises. C'est nécessaire. Ce n'est pas suffisant.
Aucun rapport d'incident détaillé ne permet encore de comprendre précisément les privilèges associés aux comptes compromis, la durée de chaque accès, les volumes consultés par session, les contrôles qui ont fonctionné, ceux qui ont échoué et la raison pour laquelle l'extraction n'a déclenché aucune alerte exploitable.
La CNIL annonce des vérifications pour déterminer si les mesures de sécurité étaient conformes à l'état de l'art. Tant que cette enquête et l'audit gouvernemental ne sont pas terminés, personne ne peut sérieusement présenter la sécurité de la DGFiP comme une question réglée.
L'Etat demande pourtant aux citoyens et aux entreprises de lui faire confiance par obligation légale. Cette contrainte devrait produire davantage de transparence, pas moins.
Un citoyen ne peut pas choisir un autre fisc. Une entreprise ne peut pas refuser la facturation électronique. Quand le consentement disparaît, la responsabilité de celui qui collecte doit augmenter.
Sur lokan.fr, je rappelle régulièrement que la vie privée numérique n'a pas de prix. Cette règle ne doit pas seulement s'appliquer aux géants américains et aux services gratuits. Elle doit aussi s'appliquer à l'administration française.
Ce que l'Etat devrait s'imposer avant de l'imposer aux autres
Une double authentification généralisée avant le lancement
La double authentification des comptes donnant accès à des données sensibles ne devrait pas être une promesse de fin d'année. Elle devrait être une condition préalable à l'ouverture de nouveaux flux.
Des droits limités et temporaires
Un compte compromis ne devrait permettre d'accéder qu'au strict nécessaire. Les habilitations sensibles doivent être segmentées, limitées dans le temps, régulièrement réévaluées et révoquées automatiquement lorsqu'elles ne sont plus indispensables.
Une véritable détection d'exfiltration
Détecter une connexion inhabituelle ne suffit pas. Les volumes consultés, les enchaînements de requêtes, les extractions répétées et les comportements incompatibles avec le métier de l'agent doivent déclencher des alertes exploitables.
Un rapport public sur chaque incident majeur
La transparence ne consiste pas seulement à annoncer un nombre de victimes. Elle consiste à publier une chronologie, la cause racine, les protections contournées, les défaillances observées et les mesures correctives, sans évidemment révéler les informations qui faciliteraient une nouvelle attaque.
Un audit indépendant dont les conclusions sont publiées
L'Etat ne peut pas être simultanément l'organisme qui collecte, celui qui contrôle et le seul juge de la qualité de ses propres protections. Les conclusions non sensibles de l'audit de la DGFiP doivent être rendues publiques.
Une cartographie compréhensible des données
Les entreprises doivent pouvoir savoir quelles données de facturation sont transmises, où elles transitent, combien de temps elles sont conservées, quels agents ou services peuvent y accéder et dans quelles circonstances elles peuvent être recoupées avec d'autres fichiers.
La confiance ne devient pas solide parce qu'elle est obligatoire
La facturation électronique peut simplifier les échanges, améliorer le suivi des paiements et réduire certaines fraudes à la TVA. Ces objectifs sont légitimes. Ils ne constituent pas un chèque en blanc pour collecter toujours plus de données sans démontrer que leur protection est au niveau attendu.
En 2026, FICOBA a été consulté avec les identifiants usurpés d'un fonctionnaire. Quelques mois plus tard, d'autres comptes d'agents publics ont permis d'extraire des données relatives à 678 000 particuliers et professionnels. La DGFiP avait repéré les accès, mais elle n'avait pas vu le vol. Elle ne l'a établi qu'après la revendication des attaquants.
Dans le même temps, la double authentification n'est pas encore généralisée sur tous les accès concernés, les grands projets informatiques accumulent les dépassements et les conclusions de l'audit de sécurité sont attendues pendant le mois même où débute la réforme.
L'Etat a donc un choix simple : démontrer avant la collecte que les protections nécessaires sont réellement déployées, ou reporter les nouveaux flux de données qui ne peuvent pas être correctement sécurisés.
La pire option consiste à maintenir l'obligation, promettre les corrections pour plus tard et demander aux citoyens de rester vigilants lorsque les données finissent chez les attaquants.
La cybersécurité ne se proclame pas dans un communiqué. Elle se vérifie dans les contrôles, dans les journaux d'accès, dans la limitation des privilèges et dans la capacité à voir les données sortir avant que le pirate ne vienne lui-même annoncer qu'il les a volées.